Поставить чатбот на сайт сегодня дело пяти минут: находите виджет, копируете скрипт, вставляете перед закрывающим тегом. Работает, отвечает, выглядит современно.
Вопрос, который почти никто не задаёт в эти пять минут: а куда уходит то, что посетители в него напишут.
Оговорюсь сразу: я веб-мастер, а не юрист. Ниже техническая сторона вопроса и ссылки на официальные рекомендации. Юридическую оценку конкретного договора должен давать юрист.
Что на самом деле пишут в чатботы
Владельцы сайтов обычно представляют себе диалог вроде «какие у вас часы работы». На практике люди пишут в чат то же, что написали бы в мессенджер.
Реальные примеры того, что я видел в логах чатов у клиентов: полное имя и номер телефона, адрес доставки, номер заказа, описание проблемы со здоровьем перед записью к специалисту, фотография документа. Один человек прислал в чат скан счёта, потому что «так быстрее».
Это персональные данные. Иногда чувствительные. И они уже не только у вас.
Где они оказываются
Бесплатный или дешёвый чатбот работает не на вашем сервере. Скрипт на вашем сайте только рисует окошко, а переписка идёт на серверы поставщика. Где эти серверы, кто имеет к ним доступ и что происходит с историей диалогов, написано в условиях сервиса, которые никто не читает при установке.
Если чатбот работает на большой языковой модели, добавляется второй слой: текст посетителя уходит ещё и к поставщику модели. То есть в цепочке уже не два участника, а три.
CNIL в апреле 2026 года выпустила обновлённые рекомендации по ИИ и персональным данным. Основная мысль простая: автоматическая обработка персональных данных через ИИ не выпадает из существующих правил. Никакого отдельного, более мягкого режима для ИИ нет.
Что из этого следует практически
Три вещи, которые касаются владельца сайта напрямую.
Договор об обработке данных
Сторонний сервис обрабатывает данные ваших посетителей, значит отношения оформляются договором. У серьёзных поставщиков он есть в личном кабинете, у сомнительных его нет вообще.
Упоминание в политике
Посетитель имеет право знать, что его сообщения обрабатывает третья сторона, какая именно и зачем. Это не формальность, а ваш ответ на вопрос «кто ещё видит мою переписку».
Связь с баннером согласия
Если виджет ставит cookie или грузится до согласия, он попадает в ту же историю, что аналитика и рекламные пиксели. Загрузка должна быть привязана к баннеру.
Отдельно про бесплатные версии ИИ
Есть смежная ситуация, в которую владельцы малого бизнеса попадают чаще, чем в историю с чатботом.
Человек копирует письмо клиента в бесплатный публичный ИИ-сервис и просит написать ответ. Или загружает туда таблицу с базой клиентов, чтобы «быстро посчитать».
В бесплатных публичных версиях данные, как правило, могут сохраняться и использоваться для дальнейшего обучения модели, если условия сервиса прямо не говорят обратного. Это значит, что данные клиента вышли за пределы вашего контроля, а вы за них отвечаете.
Рабочая практика выглядит так:
- для рабочих задач использовать корпоративные версии сервисов, где в условиях прямо сказано, что данные не идут на обучение;
- перед отправкой убирать из текста то, что позволяет опознать человека: имя, телефон, адрес, номер договора;
- не загружать целиком базы, экспорты и сканы документов;
- для случаев с высоким риском, а это работа с персоналом, юридические и медицинские данные, тесная работа с клиентской базой, нужна предварительная оценка воздействия на защиту данных.
Последний пункт звучит тяжеловесно, но смысл житейский: прежде чем автоматизировать обработку чувствительных данных, надо сесть и подумать, что будет, если они утекут.
Что проверить у себя
- Стоит ли на сайте чат, виджет поддержки или всплывающее окно с автоответами.
- Известно ли, какой это сервис и кто его поставщик.
- Есть ли у вас с ним договор об обработке данных.
- Упомянут ли он в политике конфиденциальности.
- Загружается ли он до согласия посетителя в баннере cookie.
- Кто из ваших людей имеет доступ к истории переписок и нужен ли им этот доступ.
- Сколько времени хранится история и можно ли настроить её удаление.
Пункты со второго по пятый обычно и вскрывают проблему: виджет ставили давно, кто ставил, уже не помнят, договора нет, в политике конфиденциальности его нет тоже.
Когда звать специалиста
Проверить, есть ли на сайте чат, и прочитать свою политику конфиденциальности вы можете сами. Дальше начинается техническая часть: понять, какие именно скрипты грузятся на странице, куда они отправляют запросы, какие cookie ставят, привязаны ли они к баннеру согласия и не сломается ли что-то, если эту привязку сделать.
На сайтах, где я это разбирал, чаще всего находились два-три забытых сторонних скрипта, о которых владелец не знал вообще. Чат был только одним из них.
Если у вас есть время и желание, часть проверки можно сделать самому. Если вы хотите заниматься бизнесом, а не выяснять, что за виджет вставил подрядчик три года назад, я могу взять техническую часть на себя: посмотрю, что стоит на сайте, куда уходят данные и что нужно поправить.
Источники и дата данных: рекомендации CNIL по ИИ и персональным данным, апрель 2026; Règlement UE 2024/1689 (AI Act), статья 50, применение с 02.08.2026. Данные проверены 17.08.2026.
Последние статьи
